Il contesto e le modifiche principali

Il 21 ottobre 2026, gli Stati membri dell'Unione Europea hanno approvato il mandato negoziale del Consiglio dell'UE sul Digital Omnibus GDPR, un pacchetto che riscrive parti del GDPR, della direttiva ePrivacy, del Data Act e delle regole sulla segnalazione degli incidenti informatici. Questo testo, non ancora legge, introduce modifiche significative che non sono ancora applicabili, poiché il Parlamento europeo non ha ancora definito la propria posizione e il trilogo non è iniziato.

Il testo, circolato alle delegazioni il 22 ottobre come documento 14756/26, si allontana dalla proposta della Commissione del 19 novembre 2025 su tre fronti principali. Mantiene la definizione generale di dato personale e aggiunge un articolo 25a sulla pseudonimizzazione. Lascia i cookie nella direttiva ePrivacy, ma allarga i casi in cui il consenso non serve. Conserva una base di legittimo interesse per lo sviluppo dell’intelligenza artificiale, circondandola di cautele.

Per chi segue la tutela della privacy online in Italia e in Europa, il punto pratico è semplice. Banner, informative, registri dei trattamenti e procedure di notifica restano quelli di oggi finché l’iter non si chiude. Le novità servono per capire dove va il diritto europeo dei dati e per preparare i sistemi, non per cambiarli domani mattina.

Pseudonimizzazione e articolo 25a

È il capitolo più tecnico e il più pesante per le imprese. Il nuovo articolo 25a stabilisce che i dati pseudonimizzati possono non essere considerati personali nei confronti di un terzo che non ha mezzi ragionevoli per identificare la persona. Il Consiglio lega questa possibilità a misure tecniche e organizzative adeguate, che impediscano ad altri di risalire all’interessato.

Il limite è scritto nella stessa norma. Se il terzo trasmette i dati a un soggetto che possiede o può ottenere mezzi ragionevolmente utilizzabili per l’identificazione, sia la trasmissione sia il trattamento successivo restano trattamento di dati personali. La regola, quindi, non cancella la reidentificazione. Sposta la valutazione dal dato in sé al punto di vista di chi lo riceve.

Pseudonimizzare non basta a liberarsi degli obblighi. Chi ha pseudonimizzato i dati continua a rispondere come titolare, un principio che la stessa Commissione ha ribadito nel chiarimento sulla condivisione dei dataset del 20 novembre 2025. PPC Land aggiunge un dettaglio che interessa i fornitori di servizi: il testo prevede che, quando un responsabile tratta dati per conto del titolare, per il responsabile quei dati restano personali. Una società di misurazione o una clean room che agisce come responsabile non potrebbe quindi invocare l’articolo 25a per dire che i dati non sono personali.

Cookie: le regole restano nella direttiva ePrivacy

La Commissione voleva portare il consenso ai cookie dentro il GDPR. Il Consiglio ha detto no. Le norme restano nell’articolo 5, paragrafo 3, della direttiva 2002/58/CE, riscritto, e il consenso resta la regola per accedere ai dati nel terminale dell’utente. Cambia l’elenco delle eccezioni.

Il testo analizzato da PPC Land descrive un elenco chiuso di sei finalità per cui l’accesso ai dati del dispositivo non richiederebbe consenso:

    • trasmissione di una comunicazione elettronica su una rete
    • fornitura di un servizio esplicitamente richiesto dall’utente
    • misurazione di audience di prima parte, con dati aggregati e anonimi
    • misurazione dell’audience dei media ai sensi dell’European Media Freedom Act, con pseudonimizzazione dopo la raccolta
    • sicurezza tecnica del servizio o del dispositivo
    • misurazione della visualizzazione e delle prestazioni della pubblicità contestuale

Le condizioni sono stringenti. Per la misurazione di audience i dati non possono servire ad altri scopi, né essere condivisi o combinati con dati di terzi. Per la pubblicità contestuale servono pseudonimizzazione dopo la raccolta e assenza di profilazione. Tutto ciò che esce da questi paletti torna sotto consenso, compresa la pubblicità personalizzata.

Salta invece il segnale del browser. L’articolo 88b della proposta avrebbe obbligato i siti a rispettare preferenze di consenso leggibili dalle macchine. PPC Land ricorda che il Consiglio lo aveva già tolto a giugno e che a settembre 19 organizzazioni avevano chiesto alla presidenza di reinserirlo. Il mandato non lo reintroduce.

Rifiuto con un clic e quattro mesi di pausa

Due regole toccano chiunque gestisca un banner. La prima: rifiutare il consenso deve essere possibile con un solo clic, o con un mezzo equivalente, in modo semplice e comprensibile. La seconda: se un utente rifiuta i cookie, il banner non deve riapparire per almeno quattro mesi, a meno che non ci siano cambiamenti significativi nelle condizioni di trattamento dei dati.

Queste modifiche mirano a semplificare il processo di rifiuto del consenso e a ridurre l’intrusività dei banner per gli utenti. Tuttavia, è importante notare che queste regole non sono ancora in vigore e potrebbero subire ulteriori modifiche durante il processo legislativo.

In conclusione, il Digital Omnibus GDPR rappresenta un passo significativo verso la modernizzazione delle normative sulla privacy in Europa. Le modifiche proposte, sebbene non ancora applicabili, offrono una visione del futuro del diritto europeo sui dati e richiedono un’attenta preparazione da parte delle imprese per garantire la conformità una volta che le nuove regole entreranno in vigore.